ERR_SSL_PROTOCOL_ERROR的根源在于SSL/TLS握手失败，需系统排查：一、确认listen 443 ssl;是否启用；二、验证证书与私钥模数MD5一致且权限为600；三、确保证书链完整（站点证+中间证）；四、ssl_protocols至少含TLSv1.2/TLSv1.3；五、重载配置并确认http_ssl_module已编译。
如果您已为 Nginx 配置了 ssl_certificate 指令，但浏览器仍报 ERR_SSL_PROTOCOL_ERROR，说明 SSL/TLS 握手在某环节失败，而问题往往不只出在证书路径本身。以下是系统性排查与解决步骤：
一、验证 listen 指令是否启用 ssl 标识
Nginx 必须在监听 443 端口时显式声明 ssl 参数，否则即使配置了证书，Nginx 仍以纯 HTTP 方式处理请求，导致协议协商失败。
1、打开对应 server 块的配置文件，定位 listen 行。
2、确认其格式为 listen 443 ssl;，而非仅 listen 443; 或 listen *:443;。
3、若使用 IPv6，需同时检查 listen [::]:443 ssl; 是否存在且正确。
4、执行 sudo nginx -t 验证语法，确认无警告或错误。
二、检查证书与私钥是否严格匹配且可读
证书文件（.crt）与私钥文件（.key）必须成对生成，私钥内容必须能解密证书中公钥对应的签名；若二者不匹配，TLS 握手将在 Server Key Exchange 阶段失败。
1、运行命令 openssl x509 -noout -modulus -in /path/to/certificate.crt | openssl md5 获取证书模数 MD5。
2、运行命令 openssl rsa -noout -modulus -in /path/to/private.key | openssl md5 获取私钥模数 MD5。
3、比对两个输出的 MD5 值是否完全一致。
4、检查文件权限：私钥文件应为 600（仅所有者可读写），且 Nginx 工作进程用户（如 www-data 或 nginx）对其具有读取权限。
三、确认证书链完整性与加载顺序
现代浏览器要求服务器发送完整的证书链（含中间证书），否则可能因无法构建信任路径而中断握手；仅提供站点证书将触发 ERR_SSL_PROTOCOL_ERROR。
1、确认配置中是否包含 ssl_trusted_certificate 或已将中间证书追加至 ssl_certificate 文件末尾。
2、使用命令 openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -text -noout 查看实际返回的证书信息。
3、若输出中仅显示站点证书，未出现中间证书，则链不完整。
4、将中间证书（.pem 或 .crt）内容追加到站点证书文件末尾，确保顺序为：站点证书 → 中间证书 → （不包含根证书）。
四、核对 SSL 协议与加密套件兼容性
若 Nginx 强制启用已废弃协议（如 SSLv3、TLSv1.0）或禁用客户端支持的主流协议（如 TLSv1.2/TLSv1.3），握手将直接终止。
1、检查配置中是否存在 ssl_protocols 指令，且值至少包含 TLSv1.2 TLSv1.3。
2、避免使用 ssl_protocols SSLv3 TLSv1 TLSv1.1; 等过时组合。
3、检查 ssl_ciphers 是否包含已被主流浏览器弃用的弱套件（如 RC4、DES、EXPORT）。
4、推荐使用经 Mozilla 推荐的现代套件配置，例如：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
五、排查 Nginx 进程是否加载最新配置
修改配置后未重载或重启，会导致旧配置持续生效；若旧配置中缺失 ssl 关键项，仍将报协议错误。
1、执行 sudo nginx -s reload 触发平滑重载。
2、若提示“nginx: [warn] could not build optimal ssl_session_cache”，属警告不影响功能，可忽略；若提示“unknown directive ‘ssl’”，则说明未编译 http_ssl_module。
3、确认 Nginx 启动时加载的配置路径与编辑文件一致：运行 nginx -V 2>&1 | grep "configure arguments"，查看是否含 --with-http_ssl_module。
4、检查运行中的 Nginx 是否监听 443 ssl：执行 sudo ss -tlnp | grep ':443'，输出中应含 ssl 字样。
